独立して客先の案件に入ると、必ず一度は直面する瞬間があります。
「このデータ、AIに入れて大丈夫かな？」
コードやログをAIに渡せば、作業は一気に速くなる。
でも、その中に客先の機密や個人情報が混ざっていたら——。
この「入れていいのか、まずいのか」の線引きは、独立でいちばんヒヤッとしやすい落とし穴です。
この記事は、製造業の工場で内製システムを一人で担当している私（やまと）が、独立を考えている読者に向けて、2025年に独立した先輩エンジニアに「機密データとAIの線引きをどうしているか」を聞いてきた記録です。
会社名やシステム名は伏せ、話は業界レベルにならしています。制度の話は一般的な考え方で、個別の判断は必ずご自身と客先・専門家で確認してください。
明文ガイドラインは意外と少なく、多くは善管注意義務（プロとしての注意義務）で包括されている。だから「現場の空気」で判断されがち。迷ったら入れない。AIに投げる手前でマスキングを噛ませる発想を持っておくと自衛できます。
＼ ルールが整った現場で働きたいフリーランスへ ／
※会社員からの独立に強いフリーランスエージェント。登録・相談無料。
明文ガイドラインは、意外と少ない
まず驚いたのが、ここでした。
「データの扱いって、ちゃんとしたガイドラインがあるんですか？」と聞いたら、こう返ってきました。
今の現場も、前の現場も、AIについての明文ガイドラインはない。「エンジニアだから、最低限そこらへんは分かっているよね」という暗黙の了解のもとでやっている。
契約書についても、こうでした。
契約書で「AIに特化して明記されている」ものは、今のところ見たことがない。「秘密情報・個人情報は気をつけて扱いましょう」はあっても、AIに特記されたものはない。
つまり、多くの現場では 善管注意義務でカバーされている、という感覚です。善良な管理者としての注意義務——「プロとしてやるべきことはやる」という包括的な責任のことです。
やまとこれは、社内でAIを使う側にいる私にも刺さる話でした。
AIを業務に入れるとき、いちばん悩ましいのが「何を入れちゃいけないか」の線引きです。
個人情報や秘密の扱い、使ったときの著作権——考え出すと、本当にキリがない。
（※具体的な運用の中身は、勤め先のことなので書きません。
ここでは「悩ましさは現役でも同じ」という点だけ）
だから「現場の空気」で判断されがち、という危うさ
明文ルールがないということは、裏を返せば「自分の判断に委ねられている」ということです。
そもそも、「不適切な入力によって被害が出た」という立証は難しい。ただ、ログをちゃんと管理している現場だと、まずい入力はバレることもある。
「立証が難しい＝バレない＝入れてもいい」ではありません。ログで後から発覚することもある。何より、信用は一度失うと戻らない。
やまと私が以前いたSES企業では、逆にそのあたりのガイドラインが厳しかったです。
まだChatGPTが出はじめたくらいの時代でしたが、「生成AIで作ったコードは、生成AIで作ったとちゃんと明記しましょう」というルールがありました。
正直、当時は面倒くさいと思っていました。
でも今振り返ると、ああいう「痕跡を残す」文化は、線引きが曖昧な時代の自衛策として理にかなっていた気がします。
明文ルールがゆるい現場ほど、自分の中に基準を持っておく必要がある、ということです。
先輩のヒヤリ実例：本番ログのクレカ情報
いちばん具体的で、参考になった話です。
一つ前の現場は金融系で、AIは使ってOKだった。あるとき、テストデータではなく本番データが入ってきて、ログを調査しないといけない場面があった。そのログには、当時クレカを扱うシステムだったので、クレジットカード情報が載っていた。「ログを読みたい。でも、これをAIに送るのはさすがにまずい」と思って、結局AIには入れなかった。
自衛策：手前でマスキングを噛ませる
では、どう自衛するか。話の中で出た発想が分かりやすかったです。
（マスキングしてから渡す仕組みは）当時はなかった。でも、確かにそういう仕組みはあってもよさそう。
ここから、独立を考える人が持っておくといい考え方を整理します。
- AIに投げる手前で、機密部分をマスキングする（クレカ番号・氏名・IDなどを伏せ字やダミーに置き換えてから渡す）
- 迷ったら入れない。速さより、信用を優先する
- 責任は、最後は自分に返ってくる——善管注意義務は「自分が主語」
この3つを体に入れておくだけで、ヒヤリの多くは防げます。
まとめ｜「明文ルールがない＝自由」ではない
今日の話を、独立を考える人向けに一枚にまとめます。
- 多くの現場で、AIの明文ガイドラインは少ない。善管注意義務で包括されがち。
- ルールがゆるいほど、自分の中に基準を持つ。「バレないから入れる」は危険。
- 「AIを使ってOK」と「そのデータを入れていい」は別。迷ったら入れない。
- 自衛策は手前でマスキング。責任の主語は自分。
- そのデータに個人情報・機密は含まれていないか
- 本番データではないか（テストデータか）
- 入れる前にマスキングできないか
- 客先のルール／契約に反していないか
- 迷いがあるなら、いったん入れない判断ができているか
独立は「自由」に見えて、実は「自分で守る」場面が増えるということでもあります。ここを先に知っておけば、いざというとき手が止まります。それでいい。
次は、その現場に入るための「契約・単価・税」の実務です。副業から入る戦略や、準委任契約で見るべき点を、次の記事でまとめます。
なお、ここで触れた「個人情報の取り扱い」や「生成AIと著作権」の一般的な考え方は、公的機関の情報が参考になります。個人情報保護委員会や文化庁（生成AIと著作権）の公式情報を、最新の内容で必ずご確認ください。
＼ 独立の実務を相談できるエージェントを探すなら ／
※会社員からの独立に強いフリーランスエージェント。登録・相談無料。
よくある質問
- 客先のデータは、AIにどこまで入れていいですか？
-
明文ルールがある現場は少なく、善管注意義務で包括されがちです。迷ったら入れない、が基本です。
- 「AIを使ってOK」なら、どんなデータでも入れていいですか？
-
いいえ。使用の許可と、そのデータを入れてよいかは別の判断です。本番の機密データは特に注意します。
- ログにクレカ情報が混ざっていたら？
-
先輩は「AIに送るのはまずい」と判断して入れませんでした。まずはマスキングできないかを考えます。
- マスキングって具体的に何をしますか？
-
カード番号・氏名・IDなどを、伏せ字やダミー値に置き換えてからAIに渡す、という手前の一手間です。
- バレなければ入れてもいいのでは？
-
ログで後から発覚することもあり、何より信用は戻りません。「立証が難しい」は「入れていい」ではありません。
あわせて読みたい
コメント